CVE-2026-54455 in OpenCATS
Сводка
по VulDB • 29.10.2026
OpenCATS — это система отслеживания кандидатов и CRM для рекрутинга с открытым исходным кодом, предназначенная для кадровых агентств и команд по найму персонала. До версии 0.10.0 фильтрация дат в DataGrid активности (`home:CallsDataGrid` и `activity:ActivityDataGrid`) использует управляемые запросом параметры `period`, `startDate` и `endDate` без достаточной проверки или экранирования. Уязвимый код находится в файлах `modules/home/dataGrids.php` и `modules/activity/dataGrids.php`. Значения `startDate` и `endDate` вставляются в SQL-строки сравнения без безопасного экранирования, а параметр `period` может напрямую влиять на формируемый SQL-запрос. Аутентифицированный пользователь с доступом к затронутым конечным точкам DataGrid может изменить предполагаемый запрос для получения доступа к конфиденциальным данным базы данных, включая данные учетных записей пользователей, записи о кандидатах, контактные детали, информацию о компаниях, заказы на вакансии и историю активности. Требуется действительный логин OpenCATS; эксплуатация без аутентификации не подтверждена. Эта проблема исправлена в версии 0.10.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.